Ubiquiti erkent fout waarbij gebruikers toegang kregen tot andermans account

Ubiquiti erkent dat op 13 december korte tijd zo'n 1200 gebruikers ongeoorloofd toegang hadden tot het account van andere gebruikers. Een update aan de UniFi Cloud-infrastructuur veroorzaakte het probleem, dat volgens het bedrijf intussen weer verholpen is.

Bron: Reddit

In een communityblogpost legt het techbedrijf uit dat twee groepen gebruikers getroffen werden door de misconfiguratie van UniFi Cloud. De accounts van een groep van ruim 1200 gebruikers werden foutief gekoppeld aan de accounts van een tweede groep van iets minder dan 1200 andere gebruikers. Getroffen gebruikers kregen in sommige gevallen een notificatie van apparaten van andere gebruikers en hadden bij het inloggen met hun Ubiquiti-account soms toegang tot het account van een ander. In tegenstelling tot de recente problemen rondom toegang tot Eufy-camera's lijkt het bij Ubiquiti niet om een structureel probleem te gaan, maar om een incident.

Een gebruiker op Reddit laat met screenshots zien dat er ongeoorloofde toegang tot andermans camera's mogelijk was. Een andere gebruiker toont op het Ubiquity-forum hoe hij toegang had tot het account van iemand anders en daarmee tot 88 apparaten die niet van de gebruiker waren.

Volgens Ubiquiti is de laatstgenoemde persoon een van de enkele gebruikers die daadwerkelijk ongeoorloofd toetraden tot het account van iemand anders. Het bedrijf meldt dat net geen 2400 gebruikers in totaal getroffen zijn, maar dat naar schatting slechts een dozijn gebruikers actief 'gebruik' heeft gemaakt van de misconfiguratie. Ubiquiti is naar eigen zeggen van plan om getroffenen in te lichten over het incident.

Reacties (117)

[Alfredo]

In tegenstelling tot de recente problemen rondom toegang tot Eufy-camera's lijkt het bij Ubiquiti niet om een structureel probleem te gaan, maar om een incident.

Hierbij geef je wel heel veel krediet aan Ubiquiti. Dit probleem is even "structureel" als bij Eufy, en mijn insziens eigenlijk erger.

Dit schrijven ze op hun website:

How do I access my cameras?
Easily and securely access your cameras from anywhere in the world using the UniFi Web Portal or UniFi Protect Mobile App (iOS/Android). All surveillance footage remains local to your UniFi Console to avoid unnecessary cloud storage for maximum data privacy. UniFi OS simply provides a secure connection to your local UniFi Console. Remote management is a free optional feature.

Are my video recordings private and secure?
Yes, we prioritize privacy standards and ensure that your recordings are saved locally on your UniFi Console without any cloud involvement.

Dit is duidelijk niet het geval. Als je je camerabeelden vanop afstand wilt bekijken, of push notifications wilt verkrijgen van je beelden, moet je remote access inschakelen. De Unifi app werkt niet als je via Wireguard met je netwerk verbonden bent. En als je remote access inschakelt, dan vloeien je session tokens door de server van Ubiquiti waar ze blijkbaar ook opgeslagen worden. Anders zou het nooit mogelijk geweest dat bepaalde gebruikers toegang kregen tot de console van iemand anders.

Dit is een structureel probleem. De marketing van Ubiquiti strookt niet met de waarheid. Voor de modale gebruiker, die remote access inschakelt om naar zijn cameras te kijken, heeft Ubiquiti op eender welk moment toegang tot je hele netwerk inclusief alle camerabeelden. Het enige wat ze moeten doen is "per ongeluk" je session token uit de database halen en ze kunnen direct aan de slag. Dit wilt ook zeggen dat politie met een subpoena ook toegang kan krijgen tot je beelden, zonder dat je hier enig weet van hebt.

Nu kan je zeggen, ze hebben vast en zeker een policy om die tokens nooit te gebruiken. Maar dat doet er niet toe. Google en Amazon hebben ook vast en zeker policies om niet naar je beelden te kijken. Mensen kiezen Ubiquiti omdat ze niet willen dat het in de eerste plaats mogelijk is, niet dat het enkel een policy is het niet te doen. En een aanvaller, intern of extern (zoals we eerder al gezien hebben) kan de tokens dus ook stelen. Dat is een structureel probleem.

Ubiquiti had dit overigens van de start kunnen oplossen. Remote login had als DDNS kunnen werken, waarbij je direct verbinding maakt met je toestel zonder langs de servers van Ubiquiti te gaan. Of ze hadden bij setup een key exchange kunnen uitvoeren tussen je router en telefoon (zoals bij Wireguard). Dan had de hele verbinding e2e versleuteld kunnen zijn. Maar dat hebben ze duidelijk niet gedaan.

[oezie]

Dit is duidelijk niet het geval. Als je je camerabeelden vanop afstand wilt bekijken, of push notifications wilt verkrijgen van je beelden, moet je remote access inschakelen. De Unifi app werkt niet als je via Wireguard met je netwerk verbonden bent.

Dit klopt niet helemaal. Je kan wel degelijk via Wireguard of OpenVPN remote je camerabeelden bekijken. Althans op Android, op iPhone weet ik het niet. Het enige wat niet werkt is, zoals je terecht aangeeft, zijn push notificaties en als je een deurbel hebt, het terug praten wanneer er aangebeld wordt.

[Alfredo]

Ah, bij mij werkt de Unifi app niet als ik via Wireguard verbonden ben. Ik kan manueel naar het IP van de router gaan via de browser, maar in de app staat er dat er geen apparaten gevonden werden. Misschien moet ik in de instellingen eens nader bekijken. Ze zitten standaard niet in hetzelfde subnet denk ik. Misschien zorgt dat voor problemen.

[Niekniek89]

Is bij mij top op heden ook niet gelukt, met de Protect IOS app.
De Network app is gelukt, maar Protect blijft piepen dat hij geen devices vindt.

[oezie]

Volgens mij moest ik de lokale console wel eerst toevoegen in de app terwijl ik direct verbonden was met het netwerk via wifi. Ook had ik voorheen problemen met verbinden via de app wanneer ik verbonden was via OpenVPN. Echter had ik toen de OpenVPN server nog draaien op een Synology. Nadat ik dit heb verplaatst naar de UDM werkte het wel gewoon.

[Niekniek89]

Dank voor je uitleg. Bij jou werkt het dus nog steeds via VPN?
Neem aan dat je VPN ook een eigen VLAN heeft?

[oezie]

Ja, geen problemen via de VPN afgezien van de push notificaties die dus niet doorkomen.

VPN heeft inderdaad een eigen vlan. Dat is ook een van de redenen dat ik deze verplaatst heb naar de UDM.

[Niekniek89]

Thanks, lijkt voor alsnog goed te werken (via 5G i.c.m. OpenVPN).
Ik had dit voorheen getest met WireGuard, maar daar lukte het maar niet (geen idee waarom)....

[CypressGTX]

Waarom niet de standaard teleport VPN van UniFi? Overigens werkt daar de camera app wel op.

En met een iOS device kun je instellen via automatisering dat je vpn aanspringt als je niet thuis bent bij het openen van protect.

[Alfredo]

Teleport werkt enkel als je remote access inschakelt spijtig genoeg.

[ijdod]

> De marketing van Ubiquiti strookt niet met de waarheid

Ik snap wat je bedoelt, maar dit is de norm voor Ubiquiti...

[CypressGTX]

Net overgestapt naar alles UniFi inclusief camera’s, is dit niet te voorkomen dmv wat settings dat bijvoorbeeld beelden enkel lokaal inzichtelijk zijn of iets dergelijks? Want zo is het dus niet helemaal lokaal.

Udm Pro + 4cameras + 4x U6 Pro

[Source90]

Door remote login uit te schakelen in de opties.
https://unifi.ui.com/dashboard -> UnifiOS settings (dus niet UDM Pro) -> Console Settings -> Remote Access (onder "Advanced")

[CypressGTX]

Maar bij een hack kan iemand dit dan toch ook weer aanzetten als het in de “cloud” aan en uit moet?

[AJediIAm]

Nee, deze setting kan enkel lokaal aan of uit gezet worden. Het is onmogelijk om dit remote aan te passen.

[daft_dutch]

(neem pihole en) blokkeer de dns.

[Pimmetje16]

Neem dan een niet cloud dienst. Voor een cloud dienst betalen en dan blokkeren is niet echt nuttig.

Ik heb goede ervaring met https://frigate.video/ icm een https://coral.ai/ Waarschijnlijk ook nog goedkoper ook alleen mag je het dan ook allemaal zelf uitzoeken als het niet werkt.

[Cartman!]

Heb dit gedaan maar wel de toevoeging dat dit dus juist niet uitgezet kan worden via de link die je geeft. Je moet op je lokale device inloggen en daar kun je deze setting pas wijzigen. Bedankt ieder geval voor de tip

[Source90]

Oh oke, ik krijg de optie wel als ik inlog via mijn desktop die bekabeld aan de UDMp hangt. Via mijn mobiel krijg ik inderdaad de optie niet / is de optie grijs.

[timonb]

Zeker, door niet in te loggen met je UI.com account en enkel gebruik te maken van local accounts.

[CypressGTX]

Maar dat wordt natuurlijk lastig met een UniFi deurbel

[freshy98]

Werkt dat ook niet met Cloudkey?
Ik heb geen Unifi deurbel, maar wel een camers en gebruik niet de cloud functionaliteit.

[ASS-Ware]

Werkt dat ook niet met Cloudkey?
Ik heb geen Unifi deurbel, maar wel een camers en gebruik niet de cloud functionaliteit.

De cloudkey wordt niet gebruikt voor de camera's.
De cameras gebruik je middels Protect.

[freshy98]

Klopt, maar iirc kun je dat ook buitenshuis benaderen via de cloud integratie?
Het draait alweer ruime 5 jaar hier en den beginnen naar gekeken, en alles cloud uitgezet waar mogelijk :-)

Hoe dan, Protect staat op de Cloudkey (de Gen 2, met HDD) bij mij.

[ASS-Ware]

Klopt, maar iirc kun je dat ook buitenshuis benaderen via de cloud integratie?
Het draait alweer ruime 5 jaar hier en den beginnen naar gekeken, en alles cloud uitgezet waar mogelijk :-)

Hoe dan, Protect staat op de Cloudkey (de Gen 2, met HDD) bij mij.

En bij mij op de UNVR, maar de cloudkey an sich wordt niet gebruikt voor de camera's.

[jurroen]

Zeker wel. De UCK2P kan Protect draaien en heeft standaard ook remote access enabled. Dus de vraag van @freshy98 is terecht.

En @freshy98: door remote access uit te schakelen in UniFiOS. Je zult dan wel zelf een manier moeten maken hoe je remote kunt inloggen en zelf een SMTP server opgeven indien je notificaties per mail hent ingesteld.

[freshy98]

Dat zal ik dan wel gedaan hebben. Extern benaderen die ik nooit.
Heb er één op mijn voordeur gericht wilde alleen maar opneemt als de deur open gaat en misschien iets met licht.

[ASS-Ware]

Zeker wel. De UCK2P kan Protect draaien en heeft standaard ook remote access enabled. Dus de vraag van @freshy98 is terecht.

En @freshy98: door remote access uit te schakelen in UniFiOS. Je zult dan wel zelf een manier moeten maken hoe je remote kunt inloggen en zelf een SMTP server opgeven indien je notificaties per mail hent ingesteld.

De cloudkey an sich wordt NIET gebruikt voor en door de camera’s, alleen Protect, wat in dit geval op hetzelfde apparaat draait.

[freshy98]

Dat zelfde kan je dan ook zeggen over Unifi (of hoe het netwerk deel tegenwoordig heet). Maar via cloudkey krijg je wel toegang via internet.

[ASS-Ware]

Dat zelfde kan je dan ook zeggen over Unifi (of hoe het netwerk deel tegenwoordig heet). Maar via cloudkey krijg je wel toegang via internet.

Hoezo?
Zonder de cloudkey blijft alles gewoon werken, ook internet toegang.

[DennusB]

Nee hoor? Je kan het gewoon doen zonder de cloudkoppeling en alles lokaal houden

[rscheper]

Zonder remote access krijg je volgens mij geen notificaties.

[Angelevo]

Gebruik een VPN tunnel om altijd 'lokaal' verbonden te zijn, ook als je op pad bent.

[ruby362]

Als je remote access uitschakelt, kan je dan via VPN de Unify app gebruiken?
En dan zo je camerabeelden bekijken?

[DarkGodMaster]

Op de UDM Pro een wireguard VPN opzetten om remote lokaal verbonden te zijn.
Dus niet met Wifi Man / Teleporter van Unifi.

[ASS-Ware]

Als je remote access uitschakelt, kan je dan via VPN de Unify app gebruiken?
En dan zo je camerabeelden bekijken?

Ja, dat gaat prima.

[rscheper]

Tuurlijk zullen er allerlei manieren zijn.. maar ik wilde vooral benadrukken dat het out of the box niet werkt zonder het vinkje bij remote access.

[jancoow]

Klopt. Maar home assistant kan die wel sturen als je Unifi project gekoppeld heb

[qwasd]

Kan iemand dit verifiëren? Ik wil ook mijn remote access uitschakelen maar als ik geen notificaties krijg van mijn cameras als ik niet aanwezig ben eigenlijk ook weer niet.

[AJediIAm]

Het klopt.
Je kan home assistant gebruiken om als nog notificaties te krijgen, eventueel met behulp van VPN. Privacy kost soms wat moeite, maar als je het eenmaal hebt opgezet heb je ook wat.

[mrwiggs]

Mijn plan is om de deurbel via homebridge in HomeKit te krijgen en dan zou je via Apple Home notificaties moeten krijgen.

[3xNiks]

Lokale accounts zijn zeker mogelijk. Maar helaas gaan push notificaties van Unifi Protect wel via hun servers. Als je remote access uitschakelt krijg je dus geen push notificaties van de deurbel/camera's

[AJediIAm]

Dit is weer op te lossen met bijvoorbeeld Home Assistant, eventueel in combinatie met VPN.
Zo kan je trouwens ook notificaties van Eufy ontvangen terwijl Eufy zelf geblokkeerd is van het internet via je firewall.

[Reactie gewijzigd door AJediIAm op 22 juli 2024 16:46]

[Punkbuster]

Maar dan betaal je dus voor UniFi spul terwijl de functionaliteit ook te realiseren is met een Reolink of hikvision totaal lokaal?

[AJediIAm]

Als de notificaties het enige is waar je naar kijkt heb je gelijk.

[Orky Rulez]

Edit: hieronder al beantwoord

[Reactie gewijzigd door Orky Rulez op 22 juli 2024 16:46]

[Mobzy]

Remote access uitschakelen op je UDM Pro.
Dan kan je dus niet met je UI account inloggen maar alleen met lokale accounts die je op de UDM aanmaakt. En heeft Ubiquiti geen ingang in en kan dus ook niet 'perongeluk' iemand anders toegang krijgen tot jouw camera beelden.

Zelf een paar maanden geleden weer zo ingesteld, en het enige wat ik nog niet voor elkaar krijg is dat de deurbel (G4) op de telefoons afgaat als die met het WLAN verbonden zijn. Maar dat is een prijs die ik graag betaal als ik dit bericht weer lees. Het is ook al eerder/vaker fout gegaan bij Ubiquiti.

[CypressGTX]

Ik heb UniFi lokaal wel gekoppeld via HomeBridge en zo beschikbaar in HomeKit, dus in HomeKit krijg ik ook de deurbel melding dus ik zou remote van UniFi uit kunnen zetten.

[Damic]

Ubiquiti is naar eigen zeggen van plan om getroffenen in te lichten over het incident.

Van plan??? Dat hadden ze allang moeten doen. Daarmee CLOUD = DRAMA.

[Frank]

Het incident heeft minder dan 48 uur geleden plaatsgevonden. Om gebruikers in te lichten zal je toch echt eerst het incident tot de bodem moeten uitzoeken en alle feiten op een rijtje moeten zetten.

[Jazco2nd]

Uhm nee hoor.
Stel dat hun klant een bedrijf is en dat bedrijf heeft consumenten als klant wiens data of beeld ook mogelijk gelekt zou kunnen zijn. Dan is dat bedrijf wettelijk verplicht om binnen 72 uur het AP te informeren, al is nog niet bevestigd dat prive info is gelekt, zal de tech partij (in dit geval Ubiquiti) dus in nog veel kortere tijd haar jlanten moeten informeren.
Dat gebeurd dus contractueel vaak binnen 24 uur wanneer een incident tot een lek zou kunnen leiden, maar dat nog niet is bevestigd.

[watercoolertje]

Dan is dat bedrijf wettelijk verplicht om binnen 72 uur het AP te informeren, al is nog niet bevestigd dat prive info is gelekt

Die 72 uur slaat op het moment dat je het als (bedrijf) zelf weet, niet als een ander bedrijf (Ubiquiti) iets weet wat jij nog niet weet dat is vrijwel onmogelijk (stel Ubiquiti zou het nooit doorgeven dan kan je een ander bedrijf daar toch niet verantwoordelijk voor houden)

Volgens Autoriteit Persoonsgegevens (AP):

Dit moet u doen binnen 72 uur na kennisname van het lek.

Dus in principe hebben bedrijven nog 72 uur nadat ze het horen van Ubiquiti! Enkel als ze het zelf eerder door hebben moeten ze het ook eerder melden natuurlijk.

https://www.autoriteitper...en/zo-meldt-u-een-datalek

[Reactie gewijzigd door watercoolertje op 22 juli 2024 16:46]

[Jazco2nd]

De contracten incl DPAs van de grote cloud providers staan gewoon op hun websites.. lees het zelf maar na, juist dat ze wel degelijk informeren al is een werkelijk lek nog niet bevestigd (dat onderzoek kan net zo goed weken duren). Google anders "AVG 72 uur" of zoek GDPR artikel 33 op

AVG eist 72 uur van de controller. Daardoor moet de processor dus eerder de controller informeren zodat deze tijd heeft tijdig de authoriteit te informeren. Dat gebeurd dus zeker wel wanneer er een mogelijkheid is, maar nog niet bevestigd, dat persoonlijke informatie is gelekt, ondertussen zal de processor het onderzoek voortzetten en de controller blijvend updates geven. Het is dan aan de controller om te bepalen of en wanneer (binnen die 72 uur in totaal) artikel 33 van toepassing is en het AP moet worden geinformeerd.
Best kans dat de controller (bijv een zakelijke klant van Ubiquiti) nog wat updates afwacht voordat ze het AP informeren.

Overigens: slachtoffers informeren is iets anders, daar is geen tijdslimiet aan gekoppeld, wel een verplichting met voorwaarden. De 72 uur eis gaat over het AP informeren. Die verantwoordelijkheid ligt bij de controller (wat in dit geval een klant van Ubiquiti zou kunnen zijn, en daarom zal Ubiquiti hopelijk haar zakelijke klanten reeds geinformeerd hebben).

[Reactie gewijzigd door Jazco2nd op 22 juli 2024 16:46]

[watercoolertje]

Er staat duidelijk bij het AP zelf (bron heb ik al gepost) dat je het binnen 72 uur moet melden na kennisname, als je er dus geen kennis van hebt vernomen kan je moeilijk iets melden en ook niet aan een tijdslimiet gehouden worden daarvan.

Ik ga er overigens van uit dat Ubiquiti het al lang aan het AP gemeld heeft. Immers hun hebben het gelekt, niet hun (zakelijke) klanten!

Andere bronnen dan het AP zelf, nee ik ga er niet op googlen, lijkt me helemaal niet nodig als we het over het AP hebben en wanneer het aan het AP gemeld moet worden. Lijkt me dat hun het wel weten

[Blokker_1999]

72u nadat ze hebben geleerd mogelijks getroffen te zijn door een lek. Door klanten nog niet in te lichten of ze wel of niet getroffen zijn kan Ubiquity dat nu gaan uitzoeken voor ze de klanten zelf gaan informeren.

[downtime]

Om gebruikers in te lichten zal je toch echt eerst het incident tot de bodem moeten uitzoeken en alle feiten op een rijtje moeten zetten.

Voordat een incident "tot de bodem" uitgezocht is, ben je in sommige gevallen maanden verder. Dat is dus gewoon te laat. Zelfs "alle feiten op een rijtje zetten" duurt soms al te lang.

[BRAINLESS01]

Het gaat om maximaal 2400 klanten, terwijl Ubiquiti waarschijnlijk (tientallen, honderden?) miljoenen klanten heeft wereldwijd. Beetje overdreven om dan iedereen te mailen dat er een probleem is geweest terwijl dat voor 99% niet geldt. Wat mij betreft doen ze er goed aan om eerst uit te zoeken bij wie het probleem speelde, bij wie er daadwerkelijk misbruik van gemaakt is en als het mogelijk is ook wat er dan gedaan is. Dan kan Ubiquiti die klanten exact vertellen wat de status is, in plaats van iedereen bang maken voor een probleem dat vrijwel niemand geraakt heeft.

Het lijkt er zelfs op dat ze al een aardig eind op weg zijn, want ze kunnen nu al melden dat er slechts een dozijn mensen er actief gebruik van heeft gemaakt. Daarvan zal een deel zijn die zich alleen af vroeg wat de extra apparaten in zijn netwerk deden zonder instellingen aan te passen of camerabeelden te bekijken. Er blijven heel weinig opties over voor daadwerkelijk misbruik.

[kodak]

De discussie is dat getroffen klanten nog niet geïnformeerd zijn.

Als men wel via de media wil reageren maar klanten persoonlijk informeren aan het uitstellen is dan lijkt het huidige informeren niet om werkelijk klanten prioriteit te geven te gaan. Om een aantal te noemen mag verwacht worden dat men al redelijk weet welke klanten betrokken zijn. Daar valt prima mee te beginnen boven de wereld in het algemeen maar informeren zonder zekerheid of klanten dat wel vernemen.

[BRAINLESS01]

Als uiteindelijk blijkt dat er 2400 mensen waren waarbij de accounts gedeeld waren, maar slechts 5 waarvan daadwerkelijk iemand iets van een ander gezien heeft, wie moeten ze dan berichten? Wat mij betreft alleen die 5, niet de 2400, want die zijn niet getroffen. Dat mag best even duren, maar wel netjes dat ze via de pers alvast melden dat ze eraan werken.

[kodak]

Als klant heb je een relatie met het bedrijf, niet via de media met een bedrijf. Een bedrijf en de klanten om wie het gaat hebben daarbij geen enkele zekerheid dat het op tijd bij de slachtoffers aan komt, dus wel de media informeren maar de klant in eerste instantie niet informeren is niet snel netjes te noemen.

Bij je voorbeeld lijkt het informeren van de 2400 klanten me redelijker. Zeker als men het in eerste instantie ernstig genoeg lijkt te vinden om de moeite te nemen om zelfs niet-klanten voorop te stellen boven het informeren van slachtoffers, terwijl men geen benul heeft of de klanten die wel betrokken waren dat überhaupt vernemen. Het lijkt me hoe dan ook redelijker eerst klanten te informeren in plaats van de media voorop te stellen. Met die klanten heb je als bedrijf immers een directe relatie om hun gegevens te beschermen, die betalen je daar op de een of andere manier voor.

[Reactie gewijzigd door kodak op 22 juli 2024 16:46]

[EnigmaNL]

Je kunt klanten inlichten dat het heeft plaatsgevonden en ze op een later tijdstip (nadat alles is uitgezocht) de exacte uitleg geven, dat is vrij normaal.

[kodak]

Het zou mooi zijn als het normaal was, maar het gaat helaas niet zomaar op. Bedrijven hebben praktisch geen verplichting tot informeren tenzij het zeer ernstig is. Er lijken ook geen cijfers publiek beschikbaar over het aantal datalekken waarbij gegevens van klanten betrokken zijn en hoe vaak dan de moeite is genomen klanten persoonlijk te informeren.

[EnigmaNL]

Het is niet alleen normaal (in Nederland), het is zelfs verplicht. Wanneer een datalek ernstig genoeg is om gemeld te worden bij de AP moeten de slachtoffers in principe ook geïnformeerd worden (behalve in een aantal uitzonderingssituaties). Aangezien het hier ging om 1200 gebruikers die toegang hadden tot de informatie van anderen lijkt me dat vrij ernstig. Helaas is dit een Amerikaans bedrijf, dus kunnen ze doen en laten wat ze willen.

[kodak]

Mij lijkt de toegang me ook ernstig genoeg, maar zoals je kunt lezen in de tekst waar je naar verwijst is dat aan het bedrijf om in te schatten of en wanneer ze het ernstig genoeg vinden. En daar kan een bedrijf, dus ook in dit geval, heel anders over denken dan een getroffen klant zou verwachten. Hun prioriteit lijkt de media informeren.

Daarbij noem ik niet voor niets dat er geen publieke cijfers over informeren lijken te zijn. Er zijn jaarlijks tienduizenden meldingen zonder duidelijkheid of bedrijven moeite doen klanten te informeren. Dus stellen dat het informeren normaal is is mij te makkelijk. Kom dan graag met bewijs.

[Reactie gewijzigd door kodak op 22 juli 2024 16:46]

[n9iels]

Daarmee CLOUD = DRAMA.

Cloud is gewoon een server die aan het internet hangt hé Kan best zijn dan Unifi bij AWS of Azure gebruikt als cloud oplossing, maar het idee "cloud" staat 100% los van dit probleem volgens mij. Kan het wel eens zijn dat je camera's ed. liever niet over het internet laat lopen, maar dat is een persoonlijke keuze. Als jij op afstand wilt kunnen zien wat je kat uitvoert zal er ergens "iets" open moeten staan.

[Reactie gewijzigd door n9iels op 22 juli 2024 16:46]

[Houtenklaas]

Check. De keuze die ik maak is om alles in mijn thuisomgeving op te slaan op lokaal aanwezige storage en niets buitenshuis. Wil ik van buiten meekijken, dan zet ik een VPN tunnel op naar huis en ben zodoende onderdeel van het thuisnetwerk geworden. In principe verlaat mijn data nooit deze omgeving. En ja, wel zorgen dat je een veilige hedendaagse tunneling gebruikt uiteraard.

Het probleem "cloud" staat m.i. zeker niet 100% los van dit probleem, als je camera beelden upload naar de al dan niet "gratis" omgeving van de fabrikant ben je de controle kwijt over de eigen data.

[david-v]

Je hebt natuurlijk wel gelijk, maar "cloud" is niet de reden/oorzaak, eerder remote opgeslagen beelden, of dat nou op de servers van een derde partij gebeurd ergens in een datacenter of in een cloud omgeving is totaal niet relevant. Dus "remote" zou dan beter zijn in deze context.

Ik merk zelf ook dat mensen al snel een oordeel klaar hebben over "cloud" terwijl het remote opslaan van gegevens/beelden (en daar gaat het hier over) of remote toegang toestaan de reden/oorzaak is. Staat los van cloud.

[supersnathan94]

als je camera beelden upload naar de al dan niet "gratis" omgeving van de fabrikant ben je de controle kwijt over de eigen data.

Alleen is dat dus niet wat er hier gebeurd. Het cloud deel is alleen de remote log-in die verdere tunneling faciliteert. Er wordt niks aan beeld data in de cloud opgeslagen. Hoogstens thumbnails voor meldingen.

[Houtenklaas]

De boodschap die ik wil afgeven is dat je met dit soort diensten de toegang tot jouw data uit handen geeft. Waar het opgeslagen is, doet niet eens ter zake, je bent je regie kwijt. Daar gaat het om.

[supersnathan94]

Tsja. Aan de andere kant is dit voor de gemiddelde consument natuurlijk tig keer veiliger dan zelf een beetje lopen klooien met security en VPN.

Je hebt nu natuurlijk wel een compleet bedrijf erachter inclusief dito kennis. De kans dat jouw zelf geknutselde spulleboel op shodan.io terechtkomt is ook niet 0 en dan moet je er zelf maar net achterkomen en het op tijd dicht zetten.

Beide opties hebben zo zijn voor en nadelen.

[AJediIAm]

Als ik je reactie zo lees lijkt het me dat je weinig ervaring hebt met Ubiquiti en hun producten. Het is prima om van een ivoren toren te roepen, maar mensen die met Ubiquiti de regie uit handen geven hebben daar zelf (bewust of onbewust) voor gekozen.

Je kan jezelf geheel van de buitenwereld afsluiten zonder enige afhankelijk of data overdracht. Dit wordt allemaal via de UI ondersteund zonder vage of obscure menus te volgen.

[Houtenklaas]

Helaas, verkeerde conclusie wat Ubiquiti betreft. Het gaat ook niet om het merk, maar om de bewustwording dat gemak mogelijk een prijs kent. Kies je daar bewust voor, dan is dat meer dan prima, maar ik vrees dat de meerderheid niet eens aan de keuze toekomt en gemak en prijs vooropstellen. Elke bewuste keuze is al beter dan een onbewuste keuze.

[ASS-Ware]

Check. De keuze die ik maak is om alles in mijn thuisomgeving op te slaan op lokaal aanwezige storage en niets buitenshuis. Wil ik van buiten meekijken, dan zet ik een VPN tunnel op naar huis en ben zodoende onderdeel van het thuisnetwerk geworden. In principe verlaat mijn data nooit deze omgeving. En ja, wel zorgen dat je een veilige hedendaagse tunneling gebruikt uiteraard.

Het probleem "cloud" staat m.i. zeker niet 100% los van dit probleem, als je camera beelden upload naar de al dan niet "gratis" omgeving van de fabrikant ben je de controle kwijt over de eigen data.

Je slaat hier de plank een beetje mis.
Ubiquiti camera's worden bestuurd via Protect en dat draait op apparaten met eigen storage.
Die beelden worden lokaal opgeslagen, niet in de cloud.

[Houtenklaas]

Terecht punt, ik had iets duidelijker moeten neerzetten dat "toegang via de cloud" het punt is, wat losstaat van het merk Ubiquit. Het punt wat ik wilde maken is dat data/camera beelden alleen voor de gebruiker toegankelijk moeten zijn en niet toegankelijk vanaf welke cloud dan ook - mijn mening. De controle lag hier bij Ubiquiti en dat is helaas misgegaan. De plek waar de beelden staan is dan zoals je terecht opmerkt geen issue.

En als je er over nadenkt en bewust de keuze wel maakt, hartstikke prima, zolang het maar een bewust besluit is.

[RobertMe]

Ze zetten het neer op een manier alsof (/dat) ze nog bezig zijn met onderzoek. Het primaire was uiteraard het probleem oplossen. Vervolgens hebben ze aangekondigd dat het probleem is gevonden en opgelost. En nu zullen ze dan verder onderzoek doen naar wie getroffen is en die klanten informeren.

Zeker gezien dit issue nogal wat aandacht trok wil je zo snel mogelijk met een verklaring komen. En niet eerst alle logs doorpluizen om te achterhalen welke specifieke klanten getroffen zijn en die informeren.

Zie ook het vergelijkbare incidenr van ING een tijdje terug: nieuws: Vijf ING-klanten hadden tijdelijk toegang tot bankrekening andere kla...
Inclusief:

Het FD zocht ook contact met het slachtoffer waarvan de gegevens inzichtelijk waren. Deze persoon [...] en zegt niet door de bank op de hoogte te zijn gebracht

[Verwijderd]

[...]
Van plan??? Dat hadden ze allang moeten doen. Daarmee CLOUD = DRAMA.

Joh brul niet zo. Het word netjes toegegeven nadat het lek werd ontdekt en klanten worden geïnformeerd. Je zult toch eerst duidelijk moeten hebben wat er is gebeurt en wie er is getroffen?
En cloud is drama, wat bedoel je daarmee? Werken in de cloud of cloud opslag bijvoorbeeld kan toch erg handig zijn? Ook werkt de ubiquity omgeving in de "cloud" heel erg goed en betrouwbaar, heb er niets op aan te merken.

[david-v]

Van plan??? Dat hadden ze allang moeten doen. Daarmee CLOUD = DRAMA

Ik zou eerder zeggen Internet = drama....want ook ik kan overdrijven. Ben je verbonden met het internet? dan bestaat de mogelijkheid dat iemand inbreekt op je router en alsnog toegang krijgt tot je hele netwerk...dus drama...toch?

edit:typo

[Reactie gewijzigd door david-v op 22 juli 2024 16:46]

[Frame164]

Het wordt nog een veel groter drama als iedereen het zelf zou doen.

[Punkbuster]

Cloud is ook drama, zeker voor camera’s. Ik snap die liefde niet voor UniFi deurbellen en camera’s. Lokaal is altijd veiliger

[Jazco2nd]

Ik snap werkelijk niet waarom mensen zonder daar over na te denken, dingen die binnenshuis gebeuren via de cloud laten lopen.

Verlichting aan uit? Van je telefoon een signaal naar een server in de VS of China om vervolgens het lampje boven je hoofd, met een schakelaar op paar meter afstand, uit te zetten.

Robotstofzuiger? Camerabeelden van je hele huis naar China om vervolgens de stofzuiger die voor je staat te vertellen of ie links of rechts moet..


Nu heb je met verlichting volgens mij zat opties om het lokaal op te lossen. Robotstofzuiger helaas niet. Maar bij beveiligingscamera toch zeker wel.
Sowieso alleen opnemen bij beweging en na x dagen weer overschrijven zodat je niet enorm veel opslag nodig hebt. En hopelijk hardware encoding in de camera of server..

[david-v]

Het is zoals altijd een afweging tussen security en gebruiksgemak. Wil je het veilig? dan zou je je hele camera netwerk op een vlan moeten plaatsen die volledig los staat van je andere netwerk waar je wel internet toegang hebt. Daarmee heb je wel minder functionaliteit, zoals op afstand dingen kunnen regelen.

Of mensen de risico's bewust afwegen is natuurlijk wel de vraag, want tegenwoordig worden dit soort deurbellen en camera's heel makkelijk aangesloten op je thuis netwerk. Iedereen kan het doen zonder al teveel kennis of besef van security/privacy

[Jazco2nd]

Volgens mij is dat vlan niet veel werk en op afstand kan nog altijd prima door een Wireguard VPN verbinding waarbij alleen het netwerkbereik van je vlan via de VPN gaat (of al je vlans), en alle overige verkeer de VPN omzeilt.
Zo doe ik alles remote wat thuis draait. Daarnaast verbind mijn telefoon automatisch met VPN (met name voor Adguard Home) als ik mijn home wifi verlaat, dankzij de WG Tunnel app. Maar alleen voor het LAN ip bereik.
De officiele Wireguard app voor iOS heeft deze functionaliteit ingebouwd, die voor Android niet en gaat ook niet komen. WG Tunnel gebruikt dezelfde libraries als de officiele app voor Android.

Dus vlans instellen, WG server aanzetten (Wireguard zit immers reeds in Linux kernel ingebakken).

[Reactie gewijzigd door Jazco2nd op 22 juli 2024 16:46]

[david-v]

Dat is precies het punt wat ik wil maken, de meeste tweakers weten dit wel. Maar de gemiddelde consument weet niet eens waar vlan voor staat, hebben nog steeds de standaard wifi ssid en wachtwoord en admin wachtwoord op hun router staan enz.

En juist dat is de grootste groep mensen die deurbellen en camera's in en rond het huis hangen, aansluiten, de quicksteps volgen, account aanmaken en een cloud abbo nemen....alles werkt. Zo laten....tja...

[Jazco2nd]

Maar je kan toch ook kant en klare systemen kopen, cameras + recorderserver, plug en play?
Die dingen zijn wel vreselijk duur helaas..

[TwArbo]

Dat is precies wat Unifi levert en daarbij kun je dus op je lokale omgeving inloggen via hun remote access. Dat werkt niet via "de cloud", maar is een doorgeefluik naar jouw lokale omgeving.

Unifi is niet bedoeld voor de gewone consument, maar voor prosumer (rot woord) en bedrijven. Je kunt ook heel gemakkelijk een VPN opzetten en dat gebruiken, geen enkel probleem.

Remote Access is meer bedoeld voor organisatie met meerdere vestigingen, zodat je, als beheerder, de lokale omgeving kan beheren.

[david-v]

Die dingen zijn wel vreselijk duur helaas..

je geeft al aan waarom het voor de gemiddelde consument dat geen optie is

Ik moet wel toegeven dat de gemiddelde consument niet ubiquity apparatuur zal aanschaffen. Je hebt daar toch wel enige kennis van netwerken voor nodig en daar ook mee bezig willen zijn naast de hogere aanschafkosten als je dat vergelijkt met de standaard (wifi)router die je van een internet provider krijgt.

Uiteindelijk kom je weer op het security/gebruiksvriendelijkheid/gemak dilemma.

[Operations]

Mag ik vragen hoe je dat gedaan hebt? Ik be WG tunnel app draaien nu en mijn tunnel geïmporteerd vanuit standaard WG app. Zie alleen geen optie om die automatisch te activeren zodra thuis wifi disconnect.

[Zynth]

Ik weet niet hoe dat nu zit. Maar mijn oudere roomba werkt gewoon 100% lokaal. Voor de integratie van HA hebben ze geloof ik het protocol reverse engineerd.

[Jazco2nd]

Good to know! mocht ik ook ooit zo ver zijn
Er was een artikel laatst (op Tweakers dacht ik maar kan het niet vinden) hierover, ivm de introductie van de Matic stofzuiger. zie hier: https://techcrunch.com/20...ending-data-to-the-cloud/

[xyler]

Dit is misschien ook (in de toekomst) interessant voor je: https://valetudo.cloud/

[AJediIAm]

Ik snap niet dat mensen Smart Home Tweakers aanvallen zonder na te denken. Ubiquiti is niet een merk wat je zomaar aanschaft omdat het er leuk uit ziet. Ubiquiti is volledig lokaal te gebruiken en is ontworpen voor privacy en security.
Cloud toegang is een handige en realistische keus voor bepaalde functionaliteit zoals notificaties.

Waar je ideeën van verlichting, robotstofzuigers en cameras vandaan komen weet ik niet, maar Google eens naar Home Assistant of The Open Home en lees wat het kan en waar het voor staat.

[Frame164]

Je wilt camerabeelden e.d. ook zien als je niet thuis bent. Sterker nog, je wilt ze juist zien als je niet thuis bent. Via een cloud is misschien niet perfect maar nog altijd veel veiliger als dat mensen zelf bun netwerk open gaan zetten om het van buiten te kunnen benaderen. Wij op tweakers zijn natuurlijk allemaal zo goed dat wij een perfect veilige netwerkconfiguratie maken maar de rest van de wereld kan dat niet.

[PikachuNL]

Robotstofzuiger helaas niet.

Daarvoor bestaat Valetudo. Voor het ene model net iets meer tweaking nodig dan voor het ander, maar het schijnt erg fijn te werken.

[Slonzo]

Dat is dus waarom de cloud login op mijn UDM Pro uitgeschakeld staat.
Geen idee waarom je remote login enabled zou willen voor een thuissituatie.
Wireguard VPN aanslingeren en je kan overal aan.

[CypressGTX]

Waar draait die vpn dan in huis?

[dr.gone]

In dit geval (zeer waarschijnlijk) op de UDM pro

[Sabbi]

Of gewoon op een raspberry pi of andere lokale server.

[servies]

op de UDM Pro.

[Slonzo]

Kan inderdaad gewoon native op de UDM Pro.

[Snotvis]

Op je router zelf, tenzij je een servertje o.i.d. hebt waar je het zelf host.

Network > VPN > VPN server en dan kiezen welk protocol je wil.

[nonni23]

Op de UDM PRO zelf of via een firewall regel op een lokale server (port forward ipv4 of firewall exclusion ipv6).

[CypressGTX]

Waarom niet via de eigen vpn van UniFi zelf? Die WiFiman, werkt bij mij wel altijd goed, en je hoeft niets te configureren.

[Verwijderd]

Daar je je die cloud access juist voor nodig. Als je dat dus uitzet dan kan je de vpn van wifiman niet gebruiken.
Je kan overigens gewoon normale vpn gebruiken. Werkt prima en geen cloud zaken nodig.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 16:46]

[SamSid]

Als je die uitschakelt, kan je dan nog buitenshuis naar Protect kijken?

[Verwijderd]

Ja met normale vpn

[Frame164]

En alles wat jij thuis hebt is ten alle tijden perfect gepatcht? Dagelijks check je de cve database, en gaat direct open source code aanpassen om je netwerk te beveiligen.

[CAPSLOCK2000]

Pijnlijke fout maar ok, shit happens, dat er fouten gemaakt worden neem ik Ubiquity niet echt kwalijk.

Wat ik Ubiquity (en heel veel anderen) wel kwalijk neem is dat er niet voldoende op geanticipeerd wordt dat het fout gaat.

Het aloude adagium in beveiliging is dat je nooit op één middel moet vertrouwen maar altijd meerdere lagen van beveiliging nodig hebt om fouten in buitenste laag op te vangen. Bij inloggen gebruik je tegenwoordig bv niet alleen een wachtwoord maar ook code of andere vorm van multifactor authenticatie.*
MFA begint gelukkig een beetje door te dringen maar onze aandacht ligt vooral op toegang tot de site. Eenmaal ingelogd staan alle binnendeuren open.

Het zou beter zijn om zaken wat meer te splitsen, bv door data te versleutelen voor je die opstuurt. Zo'n beveiligingscamera zou een wachtwoord op de video kunnen zetten, onafhankelijk van het wachtwoord dat nodig is om in te loggen op de site van Ubiquity. Als iemand door een foutje of een hack op de account van iemand anders terecht komt dan zijn de videobeelden nog steeds niet te bekijken.

Voor de duidelijkheid, zo'n systeem is lastiger dan alles met één wachtwoord te doen. Het is ook niet mij bedoeling om Ubiquiti af te rekenen op problemen waar de hele industrie last van heeft, maar het is wel een goed voorbeeld om te laten zien waar we nog wat moeten verbeteren.


* Ik wil wel de aantekening plaatsen dat lagen op verschillende niveau's kunnen zitten. Als je ver genoeg inzoomt kun je iedere situatie reduceren tot een enkel middel (bv de vraag of je MFA nodig hebt om je 2fa token te gebruiken).

[AJediIAm]

Ubiquiti is een prosumer merk en de keuze tussen lokaal of cloud wordt bij de gebruiker gelegd. Het is geen plug en play en je mag in dit geval dus ook wat van de gebruiker mag verwachten.
Het is mogelijk om Unifi volledig lokaal te draaien en te beheren. Als je remote access aan heb staan neem ik aan dat dit een afweging is tussen gebruiksgemak/functionaliteit en privacy/security.

[laurens0619]

Eigenlijk wil je, juist hier, end to end encryptie op!
Nu gebruik je je wachtwoord om toegang te krijgen tot een portaal waarna je de stream kunt bekijken.
Die stream zelf zou encrypted moeten zijn met het wachtwoord. Dan heb je geen impact bij eventuele configuratiefouten.

Uit een oude post vond ik dit:

All video is only stored on your Cloud Key, not on our servers. When viewing video, the connection is established with end-to-end encryption between your Protect controller and the client, so unlike other solutions, no third party could potentially access your footage in transit - Cloud only brokers the connection between the two. The mobile applications rely on the Cloud services to assist in brokering the direct connection and handle push notifications. Direct access via browser is provided for cases where a user may find themselves without internet, but urgently requires access to footage.

https://community.ui.com/...93-4cd9-b723-7ec2852e618d

Als je de beelden kunt opvragen uit een andermans account zonder wachtwoord dan klinkt dit voor mij niet als end-to-end encryptie....

even verderop posten ze

The connection brokering uses standard WebRTC, which is an encrypted connection. You could verify this with WireShark or similar packet capture if you really wanted to. However, we already invite public penetration testing of our services through HackerOne, complete with monetary rewards (up to five figures USD) for anyone who can find vulnerabilities in the service.

Dat klinkt als encryption in transit. Dat is iets heel anders dan end-to-end

[Reactie gewijzigd door laurens0619 op 22 juli 2024 16:46]

[tommeirmans]

dit is waarom ik nooit camera's in mijn huis plaats.

[david-v]

De camera op je mobieltje en laptop heb je dus ook continu afgeplakt neem ik aan?

[tommeirmans]

heb een telefoon waar een switch op zit om die uit te zetten ja

[Dostar]

Vroeger liepen we 's avonds langs huizen waar mensen nooit de gordijnen dicht hadden om even naar binnen te spieken tijdens de wandeling. Je had altijd een zekere nieuwsgierigheid wat andere mensen deden rond de tijd dat jij met je wandeling bezig was.
Tegenwoordig kijk je via de camera's mee naar wat de buren/verre buren/ hele verre buren doen met hun dag.
Wat zijn de tijden toch hard veranderd met 20-30 jaar geleden.

[Bas_f]

Dat verklaart waarom ik geen bewegingsmeldingen van eergisteren kan terugzien. Ik vond het al vreemd. Ik hoop niet dat mijn beelden bij iemand anders terecht zijn gekomen, want we gebruiken 1 van de camera's als babyfoon.